Tianya 2011 সালের তথ্য ফাঁস
Tianya-র তথ্য ফাঁসের ঘটনা 26 ডিসেম্বর 2011 তারিখে চীনা অনলাইন ফোরাম Tianya-তে অননুমোদিত প্রবেশের একটি ঘটনার সঙ্গে সম্পর্কিত। যাচাইকৃত পরিসরে 2,90,20,808টি ব্যবহারকারীর রেকর্ড রয়েছে। এতে সীমিত কয়েকটি ধরনের তথ্য তালিকাভুক্ত রয়েছে: ইমেইল ঠিকানা, নাম এবং ব্যবহারকারীর নাম। ঘটনাটির ব্যাপকতা গুরুত্বের দাবি রাখে। তবে শুধু তথ্যের মিল পাওয়া গেলেই বোঝা যায় না যে অ্যাকাউন্টটি এখনো সক্রিয়, প্রোফাইলের প্রতিটি তথ্য দেখা হয়েছে, অথবা একই ব্যক্তি অন্য কোনো সেবাতেও ক্ষতিগ্রস্ত হয়েছেন।
উন্মুক্ত হওয়া তথ্যের ধরন
3- ইমেইল ঠিকানা
- নাম
- ব্যবহারকারীর নাম
এই তথ্য ফাঁস সম্পর্কে
ফোরামের সদস্যপদের সঙ্গে প্রায়ই একটি প্রদর্শিত নাম, ব্যক্তিগত ইমেইল ঠিকানা এবং কমিউনিটিতে পরিচিতি যুক্ত থাকে। তাই অন্য প্রকাশ্য তথ্যের সঙ্গে মিলিয়ে ব্যবহার করলে এই সীমিত 3টি তথ্যক্ষেত্রও নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে পাঠানো বার্তাকে আরও বিশ্বাসযোগ্য করে তুলতে পারে। রেকর্ডটিতে পাসওয়ার্ড, পেমেন্ট কার্ডের তথ্য, ফোন নম্বর বা বাসস্থান কিংবা অন্য কোনো স্থানের ঠিকানা তালিকাভুক্ত নেই। ঝুঁকি মূল্যায়নে এই সীমারেখা গুরুত্বপূর্ণ: সতর্ক থাকা যথাযথ, তবে যাচাই করা হয়নি এমন ধরনের তথ্য এখানে রয়েছে বলে ধরে নেওয়া যাবে না।
উন্মুক্ত হওয়া তথ্যের ধরন ও ঝুঁকি
যাচাইকৃত তথ্যের ধরনগুলো হলো ইমেইল ঠিকানা, নাম এবং ব্যবহারকারীর নাম। ইমেইল ঠিকানা একটি অ্যাকাউন্টের যোগাযোগের মাধ্যম হতে পারে। আর নাম ও ব্যবহারকারীর নামের সাহায্যে বিভিন্ন ফোরাম, সামাজিক যোগাযোগমাধ্যম বা পুরোনো সদস্যপদের সঙ্গে একই ব্যক্তির সম্পর্ক খুঁজে পাওয়া সহজ হতে পারে। আক্রমণকারী এসব তথ্য ব্যবহার করে পাসওয়ার্ড পুনর্নির্ধারণের বিজ্ঞপ্তি, ফোরাম প্রশাসকের বার্তা বা কমিউনিটির ঘোষণার অনুকরণ করতে পারে।
একই রেকর্ডে এসব তথ্যক্ষেত্র থাকার অর্থ এই নয় যে প্রত্যেক ব্যক্তির প্রোফাইলের সব তথ্য সংগ্রহ করা হয়েছিল। কিছু সদস্য হয়তো শুধু ব্যবহারকারীর নাম দিয়ে নিবন্ধন করেছিলেন, অন্যরা নাম বা ইমেইল ঠিকানাও দিয়েছিলেন। প্রতিটি সারিতে কোন কোন তথ্যক্ষেত্রের তথ্য রয়েছে, তা আলাদাভাবে মূল্যায়ন করতে হবে। একই ব্যবহারকারীর নাম অন্য সেবায় অপরিবর্তিতভাবে ব্যবহার করা হলে সেটি তথ্যের যোগসূত্র খুঁজতে বিশেষভাবে কাজে লাগে। এর সাহায্যে প্রকাশ্য প্রোফাইল বা পুরোনো মন্তব্যের মধ্যে সম্পর্ক খুঁজে পাওয়া যেতে পারে।
যাচাইকৃত তথ্যের ধরনগুলোর মধ্যে পাসওয়ার্ড নেই। তাই এই ঘটনায় তথ্যের মিল পাওয়া মানেই বর্তমানে ব্যবহৃত পাসওয়ার্ড উন্মুক্ত হয়েছে, এমন প্রমাণ নয়। তা সত্ত্বেও, পুরোনো ঘটনার তথ্যের সঙ্গে ইমেইল ঠিকানা ও ব্যবহারকারীর নাম মিলিয়ে লগইন সতর্কবার্তা, সহায়তার অনুরোধ বা অ্যাকাউন্ট যাচাইয়ের বার্তাকে আরও বিশ্বাসযোগ্য করে তোলা যেতে পারে। সীমিত তথ্যক্ষেত্রগুলো একত্রে একজন ব্যক্তি সম্পর্কে যে প্রাসঙ্গিক ধারণা তৈরি করতে পারে, সেটিই মূল ঝুঁকি।
যাচাইকৃত পরিসর ও সীমাবদ্ধতা
এই পৃষ্ঠার প্রামাণ্য হিসাবে রেকর্ডের সংখ্যা 2,90,20,808, এবং এর সঙ্গে সম্পর্কিত তারিখ 26 ডিসেম্বর 2011। সে সময়ের প্রতিবেদনে কয়েক কোটি সদস্যের কথা বলা হয়েছিল। তবে তার অর্থ এই নয় যে সব সূত্র একই মাপকাঠি ব্যবহার করেছিল। রেকর্ডের সংখ্যাটি যাচাইকৃত ইমেইল-সংক্রান্ত তথ্যের পরিসরকে নির্দেশ করে; এটি সে সময়ের ফোরাম সদস্যদের পূর্ণাঙ্গ হিসাব, সক্রিয় ব্যবহারকারীর সংখ্যা বা চীনের ইন্টারনেট ব্যবহারকারীদের মোট সংখ্যা নয়।
Tianya একটি অনলাইন ফোরাম ছিল, এবং এই ঘটনা শুধু ওই ফোরাম সেবাটির সঙ্গে সম্পর্কিত। এই পৃষ্ঠায় একই নামের অধীনে পৃথক ঘটনাগুলো একত্র করা হয়নি। কোনো ইমেইল ঠিকানা বা ব্যবহারকারীর নাম অন্য একটি ঘটনায়ও থাকতে পারে, কিন্তু তাতে এই ঘটনার পরিসর বাড়ে না। রেকর্ডে কোনো ব্যক্তির তথ্য থাকা মানেই তাঁর নির্দিষ্ট কোনো পোস্ট, মন্তব্য বা প্রোফাইল পৃষ্ঠাও সংগ্রহ করা হয়েছিল, এমন প্রমাণ নয়।
যাচাইকৃত তথ্যক্ষেত্রগুলো থেকে আক্রমণের কৌশল, পাসওয়ার্ড হ্যাশের বিন্যাস, ব্যক্তিগত বার্তার বিষয়বস্তু বা আর্থিক তথ্য সম্পর্কে কিছু নিশ্চিত করা যায় না। নির্ভরযোগ্য প্রমাণ ছাড়া এসব বিস্তারিত তথ্যকে সত্য হিসেবে উপস্থাপন করা উচিত নয়। তারিখটি ঘটনার সঙ্গে সম্পর্কিত সময় নির্দেশ করে; শুধু এটি থেকে বোঝা যায় না যে কোনো অ্যাকাউন্ট সর্বশেষ কবে ব্যবহার করা হয়েছিল বা তথ্য প্রথম কবে অনলাইনে প্রকাশিত হয়েছিল। এসব সীমাবদ্ধতা বিবেচনায় রেখেই ঝুঁকি মূল্যায়ন করা উচিত।
যেসব ব্যবহারকারীর ঝুঁকি বেশি
যাঁরা বছরের পর বছর একাধিক সেবায় একই ব্যবহারকারীর নাম ব্যবহার করেছেন, তাঁদের শনাক্ত করা সহজ হতে পারে। ফোরামে ব্যবহৃত ছদ্মনাম যদি সামাজিক যোগাযোগমাধ্যম, গেম অ্যাকাউন্ট বা পেশাজীবী কমিউনিটির প্রোফাইলেও থাকে, তাহলে ইমেইল ঠিকানা ও নামের মধ্যে সম্পর্ক খুঁজে পাওয়া আরও সহজ হতে পারে। এতে অ্যাকাউন্ট বেহাত হওয়া প্রমাণিত হয় না, তবে ব্যক্তির তথ্যের সঙ্গে মিলিয়ে তৈরি ফিশিং বার্তা ও অন্যের পরিচয় ধারণ করে প্রতারণার চেষ্টাকে আরও বিশ্বাসযোগ্য করে তুলতে পারে।
এখন আর নিয়মিত ব্যবহার করা হয় না এমন পুরোনো ইমেইল ঠিকানাও উপেক্ষা করা উচিত নয়। কেউ পুরোনো ফোরামের সদস্যপদের কথা ভুলে যেতে পারেন, অথচ একই মেইলবক্স নতুন অ্যাকাউন্টগুলোর পুনরুদ্ধার ঠিকানা হিসেবে এখনো ব্যবহৃত হতে পারে। যাঁদের এমন মেইলবক্সে প্রবেশাধিকার রয়েছে, তাঁদের নিরাপত্তা বিজ্ঞপ্তি, পুনরুদ্ধারের সেটিংস এবং অপরিচিত সেশন বিশেষ যত্ন নিয়ে পর্যালোচনা করা উচিত।
যেসব সদস্য কমিউনিটিতে প্রকৃত নাম বা অবস্থান জানিয়েছিলেন, তাঁরা শুধু ছদ্মনাম ব্যবহারকারীদের তুলনায় নিজেদের সম্পর্কে বেশি প্রাসঙ্গিক তথ্য রেখে থাকতে পারেন। তবে যাচাইকৃত তথ্যের ধরনগুলোর মধ্যে বাসস্থান বা অন্য কোনো স্থানের ঠিকানা কিংবা ফোন নম্বর নেই। তাই প্রত্যেক সদস্যকে সরাসরি শারীরিকভাবে লক্ষ্যবস্তু করা সম্ভব বা তাঁদের সবার বিস্তারিত পরিচয়সংক্রান্ত তথ্য রয়েছে, এমন দাবি সঠিক নয়। প্রতিটি মিলের ক্ষেত্রে সংশ্লিষ্ট সীমিত তথ্যের প্রেক্ষাপট আলাদাভাবে বিবেচনা করতে হবে।
তাৎক্ষণিক সুরক্ষামূলক পদক্ষেপ
যাঁরা এখনো একই ইমেইল ঠিকানা ব্যবহার করেন, তাঁদের প্রথমে মেইলবক্সের পাসওয়ার্ড ও মাল্টি-ফ্যাক্টর প্রমাণীকরণের সেটিংস পর্যালোচনা করা উচিত। এই ঘটনায় পাসওয়ার্ড তালিকাভুক্ত তথ্যের ধরনগুলোর মধ্যে না থাকায়, শুধু তথ্যের মিল পাওয়ার কারণে সব পাসওয়ার্ড বদলাতে হবে, এমন সিদ্ধান্ত স্বয়ংক্রিয়ভাবে আসে না। তবে ইমেইল অ্যাকাউন্টটি অন্য সেবার অ্যাকাউন্ট পুনরুদ্ধারের মাধ্যম হিসেবে রয়ে যায়। তাই স্বতন্ত্র পাসওয়ার্ড ব্যবহার এবং পুনরুদ্ধারের তথ্য হালনাগাদ রাখার দিকে অবিলম্বে নজর দেওয়া উচিত।
Tianya বা ফোরাম প্রশাসকের পাঠানো বলে দাবি করা অপ্রত্যাশিত বার্তা কিংবা পুরোনো সদস্যপদসংক্রান্ত বিজ্ঞপ্তির বিষয়ে সতর্ক থাকুন। কোনো লিংক খোলার আগে প্রেরকের ডোমেইন, আপনাকে কী করতে বলা হচ্ছে এবং প্রকৃত সাইন-ইন ঠিকানা আলাদাভাবে যাচাই করুন। অপরিচিত কোনো সতর্কবার্তা নিশ্চিত করতে বার্তায় দেওয়া লিংক ব্যবহার না করে সরাসরি সেবাটির পরিচিত আনুষ্ঠানিক ঠিকানায় যান।
একই ব্যবহারকারীর নাম বা ইমেইল ঠিকানা অন্যত্র ব্যবহার করলে নিশ্চিত করুন যে সেই অ্যাকাউন্টগুলোতে আলাদা পাসওয়ার্ড রয়েছে। অ্যাকাউন্টের সেটিংসে অপরিচিত সেশন, ফরওয়ার্ডিং নিয়ম, পুনরুদ্ধার ঠিকানা বা সংযুক্ত ডিভাইস দেখা গেলে সংশ্লিষ্ট প্রবেশাধিকার বাতিল করুন। সন্দেহজনক কোনো কার্যকলাপ দেখা গেলে সংশ্লিষ্ট সেবার আনুষ্ঠানিক সহায়তা চ্যানেলের মাধ্যমে যোগাযোগ করুন এবং নিরাপত্তা বিজ্ঞপ্তিটি সংরক্ষণ করুন।
দীর্ঘমেয়াদি নিরাপত্তা চর্চা
প্রতিটি অনলাইন সেবায় দীর্ঘ ও স্বতন্ত্র পাসওয়ার্ড ব্যবহার করলে পুরোনো ফোরামের তথ্য ফাঁসের পরবর্তী প্রভাব সীমিত রাখা যায়। পাসওয়ার্ড ম্যানেজার একই পাসওয়ার্ড বারবার ব্যবহার কমাতে এবং শক্তিশালী লগইন তথ্য সংরক্ষণে সহায়তা করতে পারে। মাল্টি-ফ্যাক্টর প্রমাণীকরণ থাকলে প্রমাণীকরণ অ্যাপ বা হার্ডওয়্যার কী ব্যবহার করা ভালো; টেক্সট মেসেজের কোড অতিরিক্ত সুরক্ষা দেয়, তবে প্রতারণার সব ঝুঁকি দূর করে না।
ব্যবহারকারীর নামের গোপনীয়তাও দীর্ঘমেয়াদি সুরক্ষার অংশ। সব জায়গায় একই প্রদর্শিত নাম ব্যবহার না করে বিভিন্ন কমিউনিটির জন্য আলাদা ছদ্মনাম বেছে নিলে প্রকাশ্য প্রোফাইলগুলোর মধ্যে স্বয়ংক্রিয়ভাবে যোগসূত্র খুঁজে পাওয়া কঠিন হয়। পুরোনো ফোরাম প্রোফাইলে দৃশ্যমান নাম, নিজের সম্পর্কে লেখা পরিচিতি এবং প্রকাশ্য যোগাযোগের তথ্য পর্যালোচনা করুন। অপ্রয়োজনীয় তথ্য সরিয়ে দিলে পরবর্তীতে আপনাকে লক্ষ্য করে প্রতারণার চেষ্টায় ব্যবহার করার মতো প্রাসঙ্গিক তথ্য কমে যায়।
নিয়মিত বিরতিতে ইমেইল অ্যাকাউন্টের নিরাপত্তা পর্যালোচনা চালিয়ে যান। পুনরুদ্ধারের ফোন নম্বর, বিকল্প ইমেইল ঠিকানা, সংযুক্ত সেশন এবং ফরওয়ার্ডিং নিয়ম হালনাগাদ রাখতে হবে। সম্ভব হলে অ্যাকাউন্টের সতর্কবার্তা চালু রাখুন এবং অপরিচিত সাইন-ইন প্রচেষ্টা দ্রুত খতিয়ে দেখুন। এই অভ্যাসগুলো শুধু Tianya-র রেকর্ডে মিল পাওয়ার ক্ষেত্রেই নয়, যেকোনো পুরোনো বা বর্তমান অনলাইন সদস্যপদের জন্যও কাজে লাগে।
রেকর্ড যাচাই ও ব্যবহারকারীর করণীয়
আপনার ইমেইল ঠিকানা Tianya-র ঘটনার সঙ্গে মেলে কি না দেখতে এই পৃষ্ঠার রেকর্ড যাচাই সুবিধা ব্যবহার করুন। মিল পাওয়ার অর্থ ঠিকানাটি যাচাইকৃত পরিসরে রয়েছে; এতে প্রমাণ হয় না যে পাসওয়ার্ড দেখা হয়েছে, আপনার রেকর্ডের সারিতে প্রতিটি তথ্যক্ষেত্রের তথ্য ছিল, অথবা বর্তমানে ব্যবহৃত কোনো অ্যাকাউন্ট বেহাত হয়েছে। ফলাফলটিকে অ্যাকাউন্টের নিরাপত্তা ও অপ্রত্যাশিত যোগাযোগের ক্ষেত্রে আপনার ব্যক্তিগত ঝুঁকির একটি সংকেত হিসেবে বিবেচনা করুন।
মিল না পাওয়া গেলেও পুরোনো মেইলবক্স, ভিন্নভাবে লেখা ব্যবহারকারীর নাম এবং এখন আর ব্যবহার করা হয় না এমন সদস্যপদের কথা মনে করার চেষ্টা উপকারী হতে পারে। মিল না পাওয়া অনলাইনে অন্য কোথাও ব্যক্তিগত তথ্য নেই, এমন নিশ্চয়তা দেয় না। শক্তিশালী পাসওয়ার্ড, মাল্টি-ফ্যাক্টর প্রমাণীকরণ, নিয়মিত অ্যাকাউন্ট পর্যালোচনা এবং সন্দেহজনক বার্তা আলাদা নির্ভরযোগ্য মাধ্যমে নিশ্চিত করাই সবচেয়ে নির্ভরযোগ্য পন্থা।
যাচাই ও সম্পাদনার পদ্ধতি
LeakData ঘটনাটির নাম, তারিখ, প্রভাবিত রেকর্ডের সংখ্যা এবং উন্মুক্ত হওয়া তথ্যের ধরন উপলব্ধ উৎসের সঙ্গে মিলিয়ে দেখে। যাচাই করা হয়নি এমন তথ্যকে সত্য হিসেবে উপস্থাপন করা হয় না, এবং নতুন প্রমাণ পাওয়া গেলে রেকর্ড হালনাগাদ করা হয়।
অনুপস্থিত বা ভুল তথ্য জানান
